CVE-2011-2757 — 神龙十问 AI 深度分析摘要

🚨 **本质**：目录遍历漏洞（Directory Traversal）。 📉 **后果**：攻击者可通过构造恶意请求，读取服务器上的**任意文件**，导致敏感信息泄露。

🔍 **缺陷点**：`FileDownload.jsp` 文件。 ⚠️ **原因**：未对 `FILENAME` 参数中的 `..`（点点）操作符进行有效过滤或验证，导致路径拼接错误。

🎯 **受影响产品**：ZOHO ManageEngine ServiceDesk Plus。 📦 **具体版本**：**8.0.0.12** 及之前所有版本。

💀 **黑客能力**： 1. **读取任意文件**：利用 `..` 跳出当前目录。 2. **数据窃取**：获取配置文件、源码、密钥等敏感内容。 3. **远程执行**：虽主要描述为读取，但文件泄露常为后续攻击铺路。

🚪 **利用门槛**：**低**。 🌐 **条件**：**远程**攻击，无需认证（基于描述“远程攻击者可...”），只需发送包含恶意参数的 HTTP 请求即可。

📜 **现成Exp**：**有**。 🔗 **来源**：Exploit-DB 编号 **17503**。 ⚠️ **状态**：公开可用，无需复杂构造。

🔎 **自查方法**： 1. 扫描目标是否存在 `FileDownload.jsp` 接口。 2. 测试 `FILENAME` 参数是否包含 `..` 或 `/etc/passwd` 等路径遍历特征。 3. 检查响应中是否返回非预期的系统文件内容。

🛡️ **官方修复**：数据中未提供具体补丁链接。 ✅ **建议**：升级至 **8.0.0.12 之后**的最新安全版本，或联系 ZOHO 获取官方补丁。

🚧 **临时规避**： 1. **WAF 拦截**：配置规则拦截包含 `..` 的 `FILENAME` 参数请求。 2. **访问控制**：限制 `FileDownload.jsp` 的访问权限，仅允许内部 IP。 3. **输入验证**：在应用层增加对文件名的白名单校验。

⚡ **优先级**：**高**。 📅 **时间**：2011年发布，虽老但影响范围大（HelpDesk/资产管理软件常含敏感数据）。 💡 **建议**：立即排查版本，若有暴露面，优先修复或隔离。